AI-drevne cyberangreb og kontraktuelle konsekvenser
AI-forstærkede angreb forkorter tiden fra offentliggjort sårbarhed til aktiv udnyttelse fra dage til timer. Det udfordrer klassiske processer for sårbarhedsstyring, patch management og overvågning, som ofte er designet til et langsommere trusselsbillede.
Konsekvensen er, at service levels og tilhørende afhjælpningsfrister i it-kontrakter kan være utilstrækkelige. Særligt operatører af kritisk infrastruktur balancerer driftskontinuitet mod hurtig sikkerhedsafhjælpning og må indbygge klare prioriteringer for tilgængelighed, oppetid og sikkerhed.
Ansvarsfordeling, tredjepartsafhængigheder og force majeure
Når sikkerhedsløsninger bygger på eksterne AI-modeller, rejser det spørgsmål om, hvem der bærer risikoen ved fejl, upræcise output eller utilgængelighed. Aftaler bør tildele ansvar mellem kunde, leverandør og AI-udbyder med back-to-back forpligtelser, passende ansvarsbegrænsninger og dokumenterede kontrolforanstaltninger.
Force majeure-klausuler bør genbesøges. Forudsigelige cybertrusler vil sjældent kvalificere som upåregnelige begivenheder, og domstole kan forvente, at parter indarbejder passende sikkerheds- og beredskabstiltag. Indsæt derfor klare undtagelser, afhjælpningspligt og eskalationsveje ved sikkerhedshændelser.
Standardkontrakter K04 og D17: skærpede sikkerhedsforpligtelser
De udbredte danske standardvilkår lægger vægt på ajourførte sikkerhedsforanstaltninger og god it skik, men omtaler ikke eksplicit AI-drevne trusler. Den praktiske standard for overholdelse løftes derfor, og tvister om leverandørens omsorgsforpligtelse kan forventes efter angreb.
Aftaler bør suppleres med konkrete krav: eksplicitte patching tidsfrister målt i timer ved kritiske sårbarheder, kontinuerlig sårbarhedsscanning, 24 7 overvågning, definerede hændelses SLA’er og detaljerede rapporteringskrav. Indbyg endvidere kontroller for tredjepartsrisici, afbødningsplaner ved leveranceafbrydelse hos AI-udbydere samt ændringshåndtering, audit og sanktionsmekanismer såsom konventionalbod ved gentagne brud.
Lær om regulering af teknologi på kurset om digital forvaltning og AI
Læs mere her →Kontraktligt eftersyn: praktiske tiltag
Et målrettet eftersyn bør begynde med en gap-analyse mod gældende regulering som NIS2 og relevante sektorregler samt virksomhedens egen risikoprofil. Derpå justeres sikkerhedsforpligtelser, serviceniveauer og beviskrav, så de afspejler den forkortede reaktionstid.
For at gøre kravene operationelle bør parterne fastlægge objektive målepunkter og ansvarsplacering, så misligholdelse kan konstateres uden skøn. Følgende elementer er ofte centrale:
- Tidsbundne forpligtelser for identifikation, prioritering og afhjælpning af kritiske sårbarheder.
- Pligt til løbende overvågning, logning og dokumenteret hændelseshåndtering med rapportering til kunden.
- Styring af tredjeparts-AI, herunder alternative løsninger, licensændringer og step in rettigheder ved udfald.
- Klar allokering af ansvar og tab, inkl. loft, carve outs og konventionalbod ved gentagne brud.
- Regelmæssig test, audit og øvelser, der kan dokumentere efterlevelse af god it skik og aftalte standarder.
